Nouveau guide de la confidentialité : Ce que révèle l’étude Data and Privacy Benchmark 2026 de Cisco sur la gouvernance pilotée par l’IA

Les dépenses consacrées à la protection des données personnelles ont explosé. Les organisations ne se contentent plus de cocher les cases de conformité : elles bâtissent de véritables écosystèmes de gouvernance autour de l’intelligence artificielle, et les chiffres sont éloquents.

La nouvelle étude de référence 2026 sur les données et la confidentialité de Cisco a interrogé plus de 5 200 professionnels IT et sécurité dans 12 marchés mondiaux. Les résultats témoignent d’une industrie en pleine mutation. Le chiffre phare traduit un bouleversement majeur : 38 % des organisations consacrent désormais au moins 5 millions de dollars par an à leurs programmes de confidentialité, contre seulement 14 % l’année précédente. Ce n’est pas une simple croissance progressive. C’est une redéfinition profonde de la notion de confidentialité pour les entreprises d’aujourd’hui.

Mais le véritable enjeu ne se limite pas aux budgets. Il s’agit de comprendre pourquoi ces budgets augmentent aussi fortement — et ce que cela implique pour chaque organisation à l’intersection de la protection des données et de l’intelligence artificielle.

Résumé des points clés

1. Les dépenses en matière de confidentialité ont presque triplé d’une année sur l’autre

La part des organisations investissant 5 millions de dollars ou plus par an dans la confidentialité est passée de 14 % à 38 % en un an. Cette hausse spectaculaire traduit la prise de conscience que les systèmes d’IA nécessitent une infrastructure de gouvernance des données solide pour fonctionner efficacement et instaurer la confiance des parties prenantes.

2. L’IA a profondément élargi le périmètre des programmes de confidentialité

Neuf organisations sur dix déclarent que leurs programmes de confidentialité se sont élargis spécifiquement en raison de l’adoption de l’intelligence artificielle. Près de la moitié qualifie cette évolution de significative, et non d’incrémentale, ce qui traduit une refonte totale des missions des équipes en charge de la confidentialité.

3. La maturité de la gouvernance accuse un retard important par rapport à l’ambition

Si 75 % des organisations ont mis en place des comités de gouvernance de l’IA, seules 12 % estiment que ces comités sont matures et proactifs. Cet écart entre la création de structures de gouvernance et leur efficacité opérationnelle constitue l’un des défis majeurs pour les responsables de la confidentialité et de la technologie.

4. Les problèmes de qualité des données menacent la réussite des projets IA

Près des deux tiers des organisations peinent à accéder rapidement à des données pertinentes et de qualité pour leurs initiatives IA. Ajoutez à cela le fait que 77 % considèrent la protection de la propriété intellectuelle des jeux de données IA comme une préoccupation majeure, et la gestion des données s’impose comme un véritable goulot d’étranglement pour un déploiement responsable de l’IA.

5. La transparence prime désormais sur la conformité pour instaurer la confiance client

Interrogées sur les leviers de la confiance client, 46 % des organisations ont choisi la communication claire sur les pratiques de gestion des données — loin devant la conformité aux lois sur la confidentialité (18 %) ou la prévention des violations (14 %). Les organisations qui expliquent clairement leur utilisation des données nouent des relations clients plus solides que celles qui se contentent d’éviter les problèmes.

Pourquoi l’IA a tout changé en matière de confidentialité

Pendant des années, les équipes en charge de la confidentialité évoluaient dans un cadre relativement prévisible. Des réglementations comme le RGPD posaient des limites claires. Être conforme, c’était documenter les flux de données, répondre aux demandes d’accès et gérer les notifications en cas de violation. Un travail important, certes, mais bien délimité.

L’intelligence artificielle a fait voler ces limites en éclats.

L’étude révèle que 90 % des organisations ont élargi leur programme de confidentialité spécifiquement à cause de l’IA. Rien d’étonnant quand on sait ce que requièrent vraiment les systèmes IA. L’entraînement des modèles de machine learning exige d’énormes jeux de données. Les outils d’IA générative traitent les entrées utilisateurs d’une manière qui soulève de nouveaux enjeux de confidentialité. Les systèmes agentiques — capables d’actions autonomes — posent des questions de responsabilité que les cadres traditionnels n’avaient jamais anticipées.

Ce qui frappe particulièrement, c’est la façon dont les organisations vivent cette évolution. Près de la moitié (47 %) déclarent que l’IA a considérablement élargi leur mission en matière de confidentialité, et pas seulement ajusté. 43 % parlent d’une extension modérée. Seules 9 % estiment que l’IA n’a rien changé à leur programme de confidentialité.

Il ne s’agit donc pas d’un simple élargissement du périmètre. C’est une refonte totale du rôle et de la raison d’être des équipes en charge de la confidentialité.

La vague d’investissement et ses implications

Le passage de 14 % à 38 % d’organisations dépensant au moins 5 millions de dollars dans la confidentialité mérite qu’on s’y attarde. Quand plus d’un tiers des entreprises atteignent ce seuil, c’est la preuve d’un changement structurel dans la façon dont la protection des données est valorisée.

Plusieurs facteurs expliquent cette vague d’investissement. D’abord, les organisations ont compris que les systèmes d’IA nécessitent une infrastructure de gouvernance qui n’existait tout simplement pas auparavant. Impossible de déployer un outil d’IA générative de façon responsable sans savoir d’où proviennent les données d’entraînement, à qui elles appartiennent, et comment les entrées utilisateurs seront traitées ou conservées. Cela nécessite des ressources humaines, des processus et des technologies — autant d’éléments qui ont un coût.

Ensuite, la pression réglementaire ne cesse de croître. L’étude indique que 93 % des organisations prévoient d’allouer des ressources supplémentaires à au moins un domaine de la confidentialité et de la gouvernance des données au cours des deux prochaines années. Cet investissement anticipé traduit l’arrivée de nouvelles réglementations spécifiques à l’IA, qui vont s’ajouter aux cadres existants.

Enfin, et c’est peut-être le plus important, les organisations ont découvert que l’investissement dans la confidentialité rapporte réellement. Selon l’étude, 99 % d’entre elles constatent au moins un bénéfice concret lié à leurs initiatives. Il ne s’agit pas de simples déclarations sur une meilleure conformité. Les répondants citent des résultats précis : 96 % affirment que des contrôles de données renforcés leur ont permis d’être plus agiles et innovants, 95 % ont renforcé la confiance et la fidélité de leurs clients, et 95 % ont gagné en efficacité opérationnelle grâce à une meilleure organisation des données.

L’écart de maturité en matière de gouvernance

C’est ici que l’étude apporte des enseignements moins rassurants. Si trois quarts des organisations ont créé des comités de gouvernance de l’IA, seules 12 % jugent ces comités matures et proactifs. Les 88 % restantes cherchent encore comment rendre la gouvernance opérationnelle.

Ce décalage entre ambition et exécution fait écho aux résultats de l’AI Readiness Index de Cisco, qui montre que les organisations savent ce qu’elles doivent faire, sans pour autant disposer de l’infrastructure nécessaire. Mettre en place un comité de gouvernance est une première étape indispensable, mais ce n’est pas lui qui va rédiger les règles, imposer des standards ou instaurer la responsabilité.

La composition de ces instances explique en partie la difficulté. Les fonctions IT et technologiques dominent (57 %), suivies de la cybersécurité (42 %) et du juridique/risques/conformité (35 %). Les équipes produit ? Seulement 8 %. L’ingénierie ? 16 %. Si les personnes qui conçoivent les systèmes IA ont peu de poids dans la gouvernance, celle-ci devient déconnectée de la réalité du développement.

Pour combler cet écart, certaines organisations adoptent des modèles de gouvernance transversaux, associant non seulement l’IT et le juridique, mais aussi les responsables produit, data scientists et managers métiers. Cette diversité permet d’élaborer des cadres de gouvernance qui tiennent compte à la fois des contraintes techniques et des objectifs business.

Qualité des données : l’obstacle caché

L’un des enseignements les plus marquants de l’étude concerne la qualité des données. Près de sept organisations sur dix (65 %) rencontrent des difficultés persistantes pour accéder rapidement à des données pertinentes et de qualité. Or, les systèmes IA ne valent que par la qualité des données qu’ils consomment : c’est un véritable point de blocage.

Le problème ne tient pas seulement à la dispersion des données — même si c’est une réalité. C’est aussi que beaucoup de ces données manquent de classification, de balisage et de documentation, pourtant indispensables au développement IA. L’étude révèle que si 66 % des organisations disposent de systèmes de balisage des données, seules 51 % estiment leur approche satisfaisante. Les autres se reposent sur un balisage limité (33 %), identifié par le client (10 %) ou sur des processus manuels ponctuels (1 %).

Pour les applications IA, un balisage incomplet pose de vrais problèmes. Les modèles entraînés sur des données mal classifiées risquent d’intégrer par erreur des informations personnelles qui auraient dû être exclues. Les systèmes peuvent produire des résultats exploitant des informations propriétaires de manière non autorisée. Et en cas de problème, il devient difficile de retracer quelles données ont influencé quelles décisions.

La protection de la propriété intellectuelle aggrave ces enjeux. Plus des trois quarts (77 %) des organisations considèrent la protection de la propriété intellectuelle des jeux de données IA comme un défi majeur de gouvernance. Cela traduit une prise de conscience croissante de la valeur — et des risques — que représentent les données d’entraînement elles-mêmes.

La pression de la localisation des données

Les exigences de localisation des données sont devenues un défi majeur pour les multinationales, et l’étude quantifie à quel point elles sont pesantes.

85 % des organisations estiment que la localisation des données augmente les coûts, la complexité et les risques pour la fourniture de services à l’international. L’impact est encore plus marqué pour les groupes mondiaux que pour les acteurs locaux : hausse des coûts de conformité (77 % contre 63 %), duplication des infrastructures (72 % contre 59 %) et ralentissement des déploiements (67 % contre 56 %).

Ces chiffres traduisent un vrai frein opérationnel. Maintenir des infrastructures de données distinctes dans plusieurs juridictions fait perdre les économies d’échelle. Si les données ne peuvent circuler là où la puissance de calcul est la plus efficace, les systèmes ralentissent. Et quand les équipes conformité doivent jongler avec des dizaines de cadres réglementaires, l’innovation cède la place à l’administratif.

L’IA accentue encore la pression sur la localisation. L’étude montre que 78 % des organisations constatent une hausse des coûts de localisation liée à l’IA, et 81 % évoquent une demande accrue de localisation due à l’IA générative et agentique. Rien d’étonnant : les systèmes IA nécessitent souvent d’énormes ressources informatiques, que les organisations préfèrent centraliser, mais les règles de localisation peuvent empêcher les données de franchir les frontières.

Fait intéressant, la perception du stockage local et de la sécurité évolue lentement. En 2025, 90 % des répondants associaient le stockage local à une meilleure sécurité. Cette année, ils ne sont plus que 86 %. La majorité reste forte, mais ce recul traduit une prise de conscience : la sécurité ne dépend pas que de la localisation physique — une infrastructure mondiale bien gérée peut offrir une protection solide, où que se trouvent les données.

La transparence comme avantage concurrentiel

Si vous demandez aux professionnels de la confidentialité ce qui construit la confiance client, vous vous attendez sans doute à ce qu’ils citent la protection contre les violations ou la conformité réglementaire. L’étude révèle une hiérarchie différente.

Lorsqu’il s’agit de classer les actions les plus efficaces pour instaurer la confiance, 46 % des organisations choisissent « fournir une information claire sur la collecte et l’utilisation des données ». La conformité aux lois sur la confidentialité arrive loin derrière (18 %), suivie par la prévention des violations (14 %). Permettre aux clients de configurer leurs paramètres de confidentialité arrive en dernier (6 % seulement).

Ce constat a des implications majeures. Les organisations pensent souvent que bien faire la confidentialité est le plus important — sécuriser les données, respecter la réglementation, limiter les risques. Mais l’étude montre que communiquer sur la confidentialité compte presque autant. Les clients veulent comprendre ce qu’il advient de leurs informations, et les organisations qui l’expliquent clairement nouent des relations plus solides que celles qui se contentent d’éviter les problèmes.

Le marché s’adapte. Plus de la moitié (55 %) des organisations proposent désormais des tableaux de bord interactifs permettant aux utilisateurs de visualiser ou de contrôler leurs données en temps réel. La moitié intègre des engagements de transparence directement dans les contrats. Ce ne sont plus de simples « plus » : cela devient un prérequis pour la relation client.

Comment les modèles de gouvernance évoluent

Entre 2025 et 2026, les organisations ont clairement abandonné les restrictions globales sur l’usage de l’IA. Les interdictions totales de l’IA générative ont fortement reculé — l’étude montre une baisse de 21 points en un an — tout comme les limitations strictes sur les données que les employés peuvent saisir dans les outils IA.

L’expérience a manifestement montré que l’interdiction pure et simple ne fonctionne pas. Les collaborateurs utilisent les outils IA quoi qu’il arrive, et les interdictions globales ne font que déplacer leur usage dans l’ombre, hors de tout contrôle. L’approche alternative, qui s’impose désormais, privilégie les contrôles contextuels : formation à la sensibilisation, garde-fous techniques empêchant certains types de données d’entrer dans les systèmes, et mécanismes de gouvernance au point d’interaction plutôt qu’à l’échelle de l’entreprise.

Cela traduit une maturité nouvelle. Les premières réactions à l’IA générative relevaient plus de la peur que de la stratégie. Les organisations voyaient les risques et réagissaient par la restriction. L’approche 2026 part du principe que l’IA fait désormais partie intégrante des opérations, et vise à permettre un usage responsable plutôt qu’à tout interdire.

L’IA agentique — des systèmes capables d’agir de façon autonome sans validation humaine à chaque étape — constitue la prochaine frontière. L’étude montre que si la familiarité avec l’IA agentique est élevée, son déploiement reste limité. Les organisations s’y préparent en adaptant leurs cadres de gouvernance, en imposant des validations humaines, en fixant des seuils d’escalade pour les décisions autonomes, et en prévoyant des mécanismes de reprise en main en cas de comportement inattendu.

La confiance envers les fournisseurs : forte, mais les contrats ne suivent pas

Les organisations dépendent de plus en plus de prestataires IA externes, et l’étude met en lumière des dynamiques complexes. D’un côté, la confiance est forte : 81 % des organisations estiment que leurs fournisseurs d’IA générative sont transparents sur l’utilisation des données, et autant affirment que les prestataires expliquent clairement le fonctionnement de leurs outils.

De l’autre, les mécanismes formels de responsabilité n’ont pas suivi. Seules 55 % des organisations exigent des clauses contractuelles précises sur la propriété, l’utilisation et la propriété intellectuelle des données lorsqu’elles travaillent avec des prestataires IA. Près de la moitié se repose donc sur des assurances informelles plutôt que sur des accords contraignants.

Cet écart crée un risque. En cas de problème — modèle biaisé, données d’entraînement obtenues illégalement, violation impliquant des données clients traitées par un prestataire — les organisations sans clauses contractuelles claires auront du mal à établir la responsabilité ou à obtenir réparation.

Les organisations les plus avancées comblent cet écart. Près des trois quarts (73 %) procèdent désormais à des vérifications actives et à un suivi continu pour s’assurer que les outils tiers sont conformes aux réglementations émergentes sur l’IA. Les certifications de confidentialité tierces deviennent un critère clé de sélection des fournisseurs, 96 % des répondants les jugeant déterminantes dans les décisions d’achat.

Autre signe encourageant, 79 % des organisations indiquent que leurs fournisseurs d’IA générative acceptent de négocier les clauses contractuelles ou les configurations des outils pour limiter l’exposition des données. Le marché évolue donc vers des modèles de partenariat où fournisseurs et clients partagent la responsabilité d’un usage responsable de l’IA.

Cinq recommandations pour les responsables de la confidentialité

À partir de ses résultats, l’étude propose des conseils concrets pour les organisations confrontées aux défis de la confidentialité et de la gouvernance de l’IA. Ces recommandations méritent d’être étudiées par toute équipe confrontée à des enjeux similaires.

Premièrement, privilégiez la compréhension et la transparence des données. Cela implique de constituer des inventaires détaillés des actifs de données, de savoir d’où elles proviennent, comment elles circulent, et de communiquer clairement avec les clients sur les pratiques de gestion. Les organisations qui investissent dans ce socle seront mieux armées pour s’adapter à l’évolution des réglementations et des attentes clients.

Deuxièmement, investissez dans une infrastructure de données robuste. L’étude insiste sur la cohérence dans la collecte, le format, le balisage et l’architecture des données. Sans cette rigueur, il sera difficile d’assurer la qualité des données, de protéger la propriété intellectuelle et de maintenir les contrôles nécessaires à un déploiement responsable de l’IA.

Troisièmement, évaluez stratégiquement les choix de localisation et d’infrastructure. Si la localisation peut répondre à certaines exigences réglementaires, il faut soigneusement peser les bénéfices en matière de sécurité face aux coûts et à la complexité opérationnelle. Le stockage local n’est pas synonyme de meilleure sécurité, et une infrastructure fragmentée crée ses propres risques.

Quatrièmement, mettez en place une instance unique et dotée de réels pouvoirs pour la gouvernance de l’IA. Elle doit être représentative de plusieurs fonctions et suffisamment légitime pour intégrer les considérations éthiques et les principes d’IA responsable dans les processus de développement et de déploiement. Des comités sans pouvoir réel ne sont que de la façade.

Cinquièmement, donnez aux équipes les moyens de se former et de se protéger. Puisque les décisions humaines sont à l’origine de nombreux risques, il est essentiel d’investir dans des programmes de formation et de mettre en place des garde-fous techniques pour éviter l’exposition des données au point d’usage.

Ce que cela signifie pour l’année à venir

L’étude Cisco décrit un point de bascule pour les organisations. La confidentialité est passée d’une fonction de conformité à un levier stratégique. L’IA n’est plus une technologie émergente, mais une nécessité opérationnelle. La gouvernance des données n’est plus un centre de coûts, mais un moteur d’innovation.

Les organisations qui comprennent ces évolutions et investissent en conséquence seront mieux placées pour déployer l’IA de façon responsable, préserver la confiance de leurs clients et naviguer dans un environnement réglementaire de plus en plus complexe. Celles qui continuent de voir la confidentialité comme un coût à réduire plutôt qu’une compétence à développer risquent de peiner à suivre le rythme.

Les chiffres sont sans appel. Quand 99 % des organisations constatent des bénéfices concrets de leurs investissements dans la confidentialité, quand 96 % font le lien entre des contrôles de données renforcés et plus d’agilité et d’innovation, quand la part des organisations dépensant au moins 5 millions de dollars dans la confidentialité triple en un an — le marché envoie un signal clair.

La confidentialité est devenue une infrastructure. Et une infrastructure exige investissement, attention et engagement sur la durée. Les organisations qui l’ont compris posent les bases d’un déploiement responsable de l’IA. Les autres risquent d’être rapidement dépassées dans un monde où clients, régulateurs et partenaires attendent tous une véritable responsabilité sur la gestion des données.

L’étude de référence 2026 sur les données et la confidentialité ne se contente pas de dresser un état des lieux. Elle éclaire la trajectoire de la confidentialité d’entreprise — et offre une feuille de route à ceux qui veulent prendre les devants.

Pour découvrir comment Kiteworks peut vous accompagner, réservez votre démo sans attendre !

Ressources complémentaires

• Article de blog Zero Trust Architecture : Ne jamais faire confiance, toujours vérifier
• Vidéo Microsoft GCC High : Les inconvénients qui poussent les acteurs de la défense vers des solutions plus intelligentes
• Article de blog Comment sécuriser les données classifiées une fois signalées par le DSPM
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Guide de référence pour le stockage sécurisé des données sensibles à destination des responsables IT